E-Voting: Streit über Tool der ARGE Daten
Die Datenschutzorganisation ARGE Daten hat ein Werkzeug ins Netz gestellt, mit dem sie Usern den Test der Verfügbarkeit des E-Voting-Servers bei der ÖH-Wahl ermöglichen will. Das Sicherheitsteam CERT.at hält das Tool für ungeeignet und potenziell gefährlich. Das Wissenschaftsministerium will Staatsanwaltschaft und Verfassungsschutz ermitteln lassen.
Die ARGE Daten hat am Donnerstag den Start eines Online-Werkzeugs bekanntgegeben, mit dem User die Verfügbarkeit des E-Voting-Systems für die ÖH-Wahl testen sollen, die am Montag stattfindet.
Das Sicherheitszentrum CERT.at warnt Benutzer vor der Verwendung des Tools. Es sei an dieser Stelle daher nur auf die Mitteilung der ARGE Daten verwiesen, nicht auf das Tool selbst.
Das Tool ist derzeit noch auf das E-Voting-Informationsportal eingestellt und kann auf Wunsch des Users von dort in voreinstellbaren Intervallen ein vordefiniertes Bild herunterladen. Das soll anzeigen, ob der Server verfügbar ist.
Einfaches Javascript
"Das Tool zeichnet die erfolgreichen und erfolglosen Abfragen auf", so die Mitteilung der ARGE Daten, die auch der Ansicht ist, dass das Tool keine Gefahr für das E-Voting darstellen könne. Das Tool läuft als Javascript im Browser. Dadurch laufen die Abfragen des Testbilds über die Clients der Nutzer. Daher sieht die ARGE Daten die Verantwortung über die Verwendung auch beim User.
"Wenn die E-Voting-Befürworter ihre Hausaufgaben gemacht haben, kann das bloße Nachsehen, ob der Server noch funktioniert, keinesfalls das E-Voting behindern oder gar gefährden", schreibt die ARGE Daten in ihrer Mitteilung.
Harte Kritik von Sicherheitsexperten
Diese Ansicht mag CERT.at gegenüber ORF.at nicht teilen. Es warnt die User eindringlich vor der Verwendung des Tools. "Von der Auswirkung her hat das Tool durchaus das Potenzial, einem Denial-of-Service-Angriff gleichzukommen", schreibt Robert Waldner von CERT.at, "es reichen schon vergleichsweise wenige gut angebundene Benutzer mit den richtigen Einstellungen, um Bandbreiten im Gigabit/s-Bereich zu verbrauchen."
Das Bundesrechenzentrum, das die E-Voting-Systeme bereitstellt, habe zwar ausreichende Ressourcen bereitgestellt, aber auch diese skalierten nicht beliebig, so Waldner.
Auch für einen seriösen Verfügbarkeitscheck sei das Tool der ARGE Daten nicht geeignet. "Wir geben zu bedenken, dass mit dem ARGE-Daten-Tool nur die Verfügbarkeit eines vorgelagerten Webservers und der Internet-Infrastruktur vom Client bis dorthin getestet wird und nicht die Funktionsfähigkeit des gesamten E-Voting-Systems und des korrekten Ablaufs des Wahlvorgangs an sich", so Waldner, "weiters können diverse Schutzmaßnahmen wie Rate-Limiting seitens des BRZ ein etwaiges 'Ergebnis' dieses Tools grob verfälschen."
"Zumindest ungeschickt"
Insgesamt bewertet CERT.at den Einsatz des Tools als "zumindest ungeschickt". Das Sicherheitszentrum habe sich bereits am Donnerstag mit den involvierten Akteuren in Verbindung gesetzt, um zu vermitteln und den möglichen Schaden zu begrenzen.
Ob das ARGE-Daten-Tool nun das E-Voting tatsächlich behindern kann, mag auch CERT.at nur vorsichtig beurteilen. "Da schon wenige Clients ausreichen, um immense Bandbreiten zu verbrauchen, könnte es durchaus sein, dass dadurch die Verfügbarkeit des E-Voting beeinträchtigt sein würde", so Waldner. "Es gibt hier zwar eine Reihe von technischen Maßnahmen, um gegebenenfalls den Schaden zu begrenzen, aber auch diese verursachen Aufwand und binden Personal wie Ressourcen."
Reaktion der ARGE Daten
Auf Anfrage von ORF.at bestätigte Hans Zeger, Obmann der ARGE Daten, am Freitag, mit CERT.at im Dialog zu stehen. Das Tool werde er nicht zurückziehen, so Zeger. "Wir haben aber die Anregung aufgenommen, den Abfrageintervall von einer auf vier bis fünf Sekunden heraufzusetzen. Es gibt auch eine Obergrenze für die Anzahl der Abfragen."
Zeger weist ausdrücklich darauf hin, dass die ARGE Daten das Tool nur bereitstelle. "Wir stellen nur ein Script auf die Website. Es liegt in der Verantwortung der Benutzer, was sie damit anstellen", so Zeger. Der Javascript-Code, auf dem es basiere, sei sehr einfach. Zeger: "Jeder Schüler kann das programmieren."
Das Ministerium müsse damit rechnen, dass beispielsweise 1.000 Studierende gleichzeitig ihre Stimme abgeben wollen. Für ein rechtliches Vorgehen des Ministeriums gegen ihn sieht Zeger keine Rechtsgrundlage: "Ich wüsste nicht, unter welchem Titel. Dieses Tool ist in keinster Weise dazu geeignet, das E-Voting zu stören."
CERT.at ist da ganz anderer Ansicht. "Genau so begannen vor zwei Jahren die Angriffe auf Estland: mit simplen Aufrufen zum skriptgesteuerten Abrufen von den dortigen Webseiten", so die Sicherheitsorganisation gegenüber ORF.at.
Kritik an Quellcode-Check
Der eigentliche E-Voting-Server des Bundesrechenzentrums wird erst am Montag um 6.00 Uhr live geschaltet. Die ARGE Daten will nach Bekanntwerden des Servers dessen korrekte Adresse im Tool eintragen. Zeger hält auch seine grundsätzliche Kritik am E-Voting-System aufrecht.
"Die zugesagte Einschau der Wahlkommission in den Sourcecode des Programms entpuppte sich als Farce. Die Mitglieder konnten den Code nicht ungestört analysieren, sie konnten nicht einmal nach Belieben darin blättern", schreibt Zeger. Auch die Zertifizierung durch die A-SIT sei nicht ausreichend, da diese nicht alle Komponenten des Systems geprüft habe.
Reaktion des Ministeriums
Am Freitagnachmittag sagte Nikola Donig, Sprecher von Wissenschaftsminister Johannes Hahn (ÖVP), gegenüber ORF.at, dass das Ministerium sich dazu entschlossen habe, den Fall an Staatsanwaltschaft und Verfassungsschutz zu übergeben. Diese sollen ermitteln und ein rechtliches Vorgehen gegen die ARGE Daten prüfen. Die Übergabe sei am Freitag noch nicht geschehen, einen genauen Termin dafür konnte der Sprecher nicht nennen.
"Wir gehen hier von der ersten planmäßigen Attacke auf das E-Voting-System aus", so Donig. "Wir haben entsprechende Gegenmaßnahmen getroffen." Die Funktionsfähigkeit des Systems sieht Donig nicht gefährdet, der Start ist nach wie vor für Montag um 8.00 Uhr geplant. "Aus unserer Sicht muss jemand, der über das entsprechende technische Wissen verfügt, auch wissen, was er damit anstellt, wenn er ein solches Tool ins Netz stellt", so der Sprecher des Ministeriums.
Zeger gab sich in einer Reaktion gegenüber ORF.at gelassen: "Eine Anzeige bei der Staatsanwaltschaft ist ja rasch gemacht, da müsste man sehen, welche Vorwürfe erhoben werden. Das Ganze klingt nach einer Einschüchterungsaktion, um E-Voting-Kritiker präventiv zu verunsichern bzw. zu kriminalisieren."
(futurezone/Günter Hack)